Sebelum software custom Anda dipakai, tanyakan ke vendor lima hal: siapa saja yang bisa membuka data produksi, apa yang tercatat ketika mereka membukanya, data apa yang dienkripsi, siapa yang memegang kata sandi server dan database, dan apa yang vendor lakukan dalam jam pertama setelah ada dugaan kebocoran. Setelah go-live, ulangi pertanyaan yang sama setiap kali ada orang yang keluar dari proyek. Jawaban yang kabur atas salah satu dari lima hal ini adalah risiko yang Anda tanggung sendiri, karena UU Pelindungan Data Pribadi menaruh kewajiban utama pada perusahaan Anda sebagai pengendali data, bukan pada pembuat software.
Dua berita awal Oktober dan apa artinya untuk Anda
CNBC Indonesia (10 Oktober 2026) memberitakan kebocoran data di tujuh perusahaan keuangan di Korea Selatan, termasuk bank komersial besar. Kepolisian di sana menambah tim penyidik dari 28 menjadi 43 orang dan memasukkan ahli forensik digital, menurut laporan yang sama dan Korea Times (9 Oktober 2026). Bagaimana datanya keluar belum diumumkan, dan kami tidak akan menebaknya.
Pelajaran yang bisa diambil sekarang ada di pekerjaan polisinya: mereka mengamankan log dan menganalisis sistem yang terdampak. Kalau perusahaan Anda yang kena, penyidik dan auditor juga akan meminta log. Pertanyaannya, apakah software Anda menyimpannya.
Berita kedua datang dari detikInet (4 Oktober 2026). Lev Matveev, pendiri SearchInform, menyebut tekanan keuangan akibat judi online dan kebiasaan karyawan memasukkan dokumen kantor ke chatbot AI sebagai jalan baru kebocoran dari dalam. "Dalam kasus insider threat, motifnya umumnya berkaitan dengan keuntungan finansial atau kelalaian," katanya. Orang dalam ini bisa karyawan Anda, bisa juga developer vendor yang memegang akses ke server produksi.
Sebelum go-live: akses, catatan, dan enkripsi
Mulai dari hak akses. Minta vendor menunjukkan daftar peran di aplikasi (misalnya admin, supervisor, staf) dan data apa yang bisa dilihat dan diekspor oleh tiap peran. Kesalahan yang paling sering kami temui sederhana: terlalu banyak orang memegang akses admin, karena memberi semua orang admin lebih cepat daripada merancang peran satu per satu.
Lalu tanyakan log. Software yang baik mencatat siapa yang login, siapa yang melihat atau mengekspor data pribadi, dan siapa yang mengubah hak akses, lengkap dengan waktunya. Tanyakan juga berapa lama log disimpan dan apakah developer bisa menghapusnya. Log yang bisa dihapus oleh orang yang sedang diselidiki tidak banyak gunanya.
Soal enkripsi, dua jawaban yang perlu Anda dengar: lalu lintas data memakai HTTPS di semua jalur termasuk API untuk aplikasi mobile, dan kolom yang sensitif seperti NIK, nomor rekening, atau dokumen identitas dienkripsi di database. Tanyakan juga apakah developer memakai salinan data produksi untuk pengujian. Kalau ya, minta data itu disamarkan dulu.
Siapa memegang kuncinya
Pemilik bisnis sering lupa menanyakan ini. Buat daftar semua akun yang bisa mengendalikan sistem: akun cloud atau hosting, domain, database, repositori kode, layanan email pengirim notifikasi, dan toko aplikasi untuk versi Android dan iOS. Untuk setiap akun, tanyakan atas nama siapa akun itu terdaftar dan siapa yang memegang kata sandinya.
Pegangan kami sederhana. Akun pemilik harus atas nama perusahaan Anda, memakai email perusahaan, dengan verifikasi dua langkah. Vendor diberi akses sebagai pengguna terpisah yang bisa dicabut, bukan meminjam akun pemilik. Kata sandi database dan kunci API disimpan di tempat penyimpanan rahasia, tidak ditulis di kode atau dikirim lewat grup chat.
Setelah go-live: offboarding dan kewajiban saat insiden
Developer berganti, staf Anda keluar, vendor pun bisa diganti. Setiap kepergian harus diikuti pencabutan akses di hari yang sama dan rotasi kata sandi yang pernah ia ketahui. Minta vendor memberi tahu Anda secara tertulis setiap kali ada anggota timnya yang keluar dari proyek. Kalau Anda sedang berganti vendor, prosesnya lebih panjang, dan kami membahasnya di alih pengetahuan saat ganti vendor software.
Pasal 46 UU Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi mewajibkan pengendali data memberi pemberitahuan tertulis paling lambat 3 x 24 jam kepada pemilik data dan kepada lembaga pengawas ketika terjadi kegagalan pelindungan data. Isinya paling sedikit: data apa yang terungkap, kapan dan bagaimana, serta upaya penanganan dan pemulihannya.
Pengendali data itu perusahaan Anda. Vendor biasanya berposisi sebagai prosesor, yang menurut Pasal 51 hanya boleh memproses data atas perintah Anda dan tetap berada di bawah tanggung jawab Anda. Jadi tenggat 3 x 24 jam itu milik Anda, sementara bahan untuk memenuhinya (log, kronologi, perbaikan) ada di tangan vendor. Kontrak harus mewajibkan vendor melapor ke Anda jauh lebih cepat dari itu, kami sarankan dalam hitungan jam.
Undang-undangnya sendiri tidak menyebut kapan hitungan 3 x 24 jam dimulai. Aturan pelaksananya, PP 33/2026, menurut ringkasan Veritask menghitungnya sejak kegagalan pelindungan data "diketahui secara pasti, patut, dan wajar", tetapi PP itu baru berlaku penuh 16 Januari 2027. Lembaga pengawas PDP juga belum terbentuk, menurut pengamat yang dikutip Bisnis.com (8 September 2026). Kewajiban memberi tahu pemilik data tetap berlaku. Untuk tafsir tenggat dan alamat laporan selama lembaganya belum ada, tanyakan ke penasihat hukum Anda sebelum insiden terjadi.
Pertanyaan yang bisa Anda kirim ke vendor minggu ini
- Peran apa saja yang ada di aplikasi, dan siapa yang bisa mengekspor data pribadi dalam jumlah besar?
- Kegiatan apa yang tercatat di log, berapa lama disimpan, dan siapa yang bisa menghapusnya?
- Kolom apa saja yang dienkripsi di database, dan apakah data produksi dipakai untuk pengujian?
- Akun cloud, domain, repositori, dan toko aplikasi terdaftar atas nama siapa?
- Berapa orang di tim Anda yang bisa masuk ke server produksi hari ini, dan bagaimana akses mereka dicabut saat keluar?
- Kalau ada dugaan kebocoran pukul dua pagi, siapa yang Anda hubungi di pihak kami, dalam berapa jam, dan apa isi laporan pertamanya?
Vendor yang serius bisa menjawab sebagian besar pertanyaan ini dalam satu pertemuan, dan sisanya dalam bentuk dokumen. Di Digieco (PT Javaman Digieco International), tim kami di Jakarta dan Medan membangun software custom dan aplikasi mobile serta mendampingi klien lewat layanan IT consulting, dan daftar seperti ini kami bahas bersama klien sebelum sistem dipakai. Daftar ini tidak membuat sistem kebal. Gunanya, ketika sesuatu terjadi, Anda tahu siapa yang harus bergerak dan bahannya sudah tersedia.
Pertanyaan yang Sering Diajukan
Siapa yang wajib melapor kalau data bocor lewat sistem buatan vendor?
Menurut UU Nomor 27 Tahun 2022, kewajiban pemberitahuan ada pada pengendali data, yaitu perusahaan Anda. Vendor biasanya berposisi sebagai prosesor yang bekerja atas perintah Anda. Karena itu kontrak perlu mewajibkan vendor melapor ke Anda dalam hitungan jam supaya Anda sempat memenuhi tenggat.
Berapa lama batas waktu pemberitahuan kebocoran data pribadi?
Pasal 46 UU Pelindungan Data Pribadi menetapkan paling lambat 3 x 24 jam, secara tertulis, kepada pemilik data dan lembaga pengawas. Undang-undangnya tidak menyebut kapan hitungan dimulai, sedangkan PP 33/2026 yang berlaku penuh 16 Januari 2027 menghitungnya sejak kegagalan pelindungan data diketahui. Minta tafsiran penasihat hukum Anda sebelum ada insiden.
Apakah akun cloud dan domain boleh atas nama vendor?
Sebaiknya tidak. Akun pemilik untuk cloud, domain, repositori, dan toko aplikasi perlu atas nama perusahaan Anda dengan email perusahaan. Vendor cukup diberi akses sebagai pengguna terpisah yang bisa dicabut kapan saja.
Apa yang harus dilakukan saat developer vendor keluar dari proyek?
Cabut aksesnya di hari yang sama, lalu ganti kata sandi dan kunci API yang pernah ia ketahui. Minta vendor memberi tahu Anda secara tertulis setiap kali ada pergantian anggota tim.
Log seperti apa yang perlu dimiliki aplikasi bisnis?
Minimal catatan login, siapa yang melihat atau mengekspor data pribadi, dan siapa yang mengubah hak akses, lengkap dengan waktunya. Pastikan log disimpan cukup lama dan tidak bisa dihapus oleh developer yang memegang server.
Butuh tim yang mengerjakan ini untuk Anda?
Javaman Digieco menyediakan dedicated team, staff augmentation, dan pengembangan software custom untuk perusahaan di Jakarta, Medan, dan seluruh Indonesia.
Hubungi Kami Sekarang